情報セキュリティマネジメント 科目A・B サンプル問題 科目A 問1
情報資産管理とリスクアセスメント・リスク対応
リスク受容に関する問題
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）において，リスクを受容するプロセスに求められるものはどれか。
- ア 受容するリスクについては，リスク所有者が承認すること
- イ 受容するリスクを監視やレビューの対象外とすること
- ウ リスクの受容は，リスク分析前に行うこと
- エ リスクを受容するかどうかは，リスク対応後に決定すること
答えと解説
✓ これが正解ア 受容するリスクについては，リスク所有者が承認すること
解説
受容するリスクはリスク所有者の承認が求められます。
設問が引いているのは JIS Q 27001:2014 の要求事項です。リスクを受け入れる（受容する）という判断は、そのリスクについて責任と権限をもつ人、つまりリスク所有者が承認しなければならないとされています。担当者が独断で受け入れてよいと決められるものではありません。受容は、リスクを分析して評価したうえで選ぶリスク対応の選択肢の一つであり、承認という手続を通すことで、誰が責任をもってその判断をしたのかが残ります。
ほかの選択肢の解説
- イ 受容するリスクを監視やレビューの対象外とすること：受け入れると決めたリスクも、状況が変われば大きさが変わります。監視やレビューの対象から外してよいわけではなく、引き続き見ていく必要があるので、この記述は求められるものとは逆です。
- ウ リスクの受容は，リスク分析前に行うこと：リスクの大きさが分からないうちに受け入れるかどうかは決められません。受容の判断は分析より前ではなく、リスクを分析して評価したあとに行うものなので、この記述は当てはまりません。
- エ リスクを受容するかどうかは，リスク対応後に決定すること：対応をすべて終えてから受容するかを決めるという順序ではありません。受容そのものがリスクへの対応の選択肢の一つとして扱われるので、対応後に決定するとするこの記述は手順が合いません。
関連用語
- リスク
受容 リスクを分かったうえで、対応せずそのまま残すと決めること。 - リスク
所有者 そのリスクを管理する責任と権限を持つ人や部署のこと。 - リスク
対応 リスクを避ける・減らす・移す・受け入れるといった手立ての中から選んで実行すること。 - リスクアセスメントリスクを洗い出し（特定）、大きさを見積もり（分析）、対応の優先順位を決める（評価）までの一連の作業を指します。
- JIS Q 27001情報セキュリティの仕組みに必要な要求事項を定めた規格。
- 情報
セキュリティマネジメントシステム 組織の情報セキュリティを仕組みとして運用する枠組みのこと。 - 監視機器や利用者の動きを継続して見て、記録に残しておくこと。
- レビュー決めたことや作ったものを、あらためて見直すことをいいます。
現在との違い
設問が引く JIS Q 27001:2014 は2023年版に置き換わっています。正解は変わらないとみられます。
出典：情報セキュリティマネジメント試験 科目A・B サンプル問題 科目A 問1
解説の最終確認：2026-08-08
解説は当サイト独自のもので、IPA（独立行政法人情報処理推進機構）とは関係ありません。
同じ内容が出た回
関連問題
- 令和8年度 科目A 問1：
残留 リスクに 関する 記述 （リスク 対応） - 平成31年度 春期 午前 問7
（リスク 所有者） - 令和6年度 科目A 問1：
リスクアセスメントに 関する 問題 （リスク 受容） - 令和5年度 科目A 問1：
情報 セキュリティ 管理基準の 問題 （JIS Q 27001） - 平成29年度 秋期 午前 問41：
PDCAに 関する 問題 （レビュー）
同じ分野の問題
誤りを見つけたら報告する